Firebase Security Rules используют гибкие, мощные, настраиваемые языки, которые поддерживают широкий диапазон сложности и детализации. Вы можете сделать свои Rules настолько конкретными или настолько общими, насколько это целесообразно для вашего приложения. Правила Realtime Database используют синтаксис, похожий на JavaScript в структуре JSON. В правилах Cloud Firestore и Cloud Storage используется язык, основанный на языке общих выражений (CEL) , который основан на CEL с операторами match
allow
, поддерживающими условно предоставленный доступ.
Однако, поскольку это специальные языки, существует кривая обучения. Используйте это руководство, чтобы лучше понять язык Rules и глубже погрузиться в более сложные правила.
Выберите продукт, чтобы узнать больше о его правилах.
Базовая структура
Cloud Firestore
Firebase Security Rules в Cloud Firestore и Cloud Storage используют следующую структуру и синтаксис:
service <<name>> {
// Match the resource path.
match <<path>> {
// Allow the request if the following conditions are true.
allow <<methods>> : if <<condition>>
}
}
При разработке правил важно понимать следующие ключевые понятия:
- Запрос: метод или методы, вызываемые в операторе
allow
. Это методы, которые вы разрешаете запускать. Стандартные методы:get
,list
,create
,update
иdelete
. Удобные методыread
иwrite
обеспечивают широкий доступ для чтения и записи в указанной базе данных или пути хранения. - Путь: база данных или место хранения, представленное в виде пути URI.
- Правило: оператор
allow
, который включает условие, разрешающее запрос, если его значение истинно.
Каждая из этих концепций более подробно описана ниже.
Cloud Storage
Firebase Security Rules в Cloud Firestore и Cloud Storage используют следующую структуру и синтаксис:
service <<name>> {
// Match the resource path.
match <<path>> {
// Allow the request if the following conditions are true.
allow <<methods>> : if <<condition>>
}
}
При разработке правил важно понимать следующие ключевые понятия:
- Запрос: метод или методы, вызываемые в операторе
allow
. Это методы, которые вы разрешаете запускать. Стандартные методы:get
,list
,create
,update
иdelete
. Удобные методыread
иwrite
обеспечивают широкий доступ для чтения и записи в указанной базе данных или пути хранения. - Путь: база данных или место хранения, представленное в виде пути URI.
- Правило: оператор
allow
, который включает условие, разрешающее запрос, если его значение истинно.
Каждая из этих концепций более подробно описана ниже.
Realtime Database
В Realtime Database Firebase Security Rules состоят из выражений, подобных JavaScript, содержащихся в документе JSON.
Они используют следующий синтаксис:
{
"rules": {
"<<path>>": {
// Allow the request if the condition for each method is true.
".read": <<condition>>,
".write": <<condition>>,
".validate": <<condition>>
}
}
}
В правиле есть три основных элемента:
- Путь: расположение базы данных. Это отражает структуру JSON вашей базы данных.
- Запрос. Это методы, которые правило использует для предоставления доступа. Правила
read
иwrite
предоставляют широкий доступ для чтения и записи, а правилаvalidate
действуют как вторичная проверка для предоставления доступа на основе входящих или существующих данных. - Условие: Условие, которое разрешает запрос, если его значение истинно.
Конструкции правил
Cloud Firestore
Основные элементы правила в Cloud Firestore и Cloud Storage следующие:
- Декларация
service
: объявляет продукт Firebase, к которому применяются правила. - Блок
match
: определяет путь в базе данных или сегменте хранилища, к которому применяются правила. - Оператор
allow
: предоставляет условия предоставления доступа, различающиеся по методам. Поддерживаемые методы включают:get
,list
,create
,update
,delete
, а также удобные методыread
иwrite
. - Необязательные объявления
function
: предоставьте возможность комбинировать и обертывать условия для использования в нескольких правилах.
service
содержит один или несколько блоков match
с операторами allow
, предоставляющими условия предоставления доступа к запросам. Переменные request
и resource
доступны для использования в условиях правила. Язык Firebase Security Rules также поддерживает объявления function
.
Версия синтаксиса
Оператор syntax
указывает версию языка правил Firebase, использованного для написания источника. Последняя версия языка — v2
.
rules_version = '2';
service cloud.firestore {
...
}
Если оператор rules_version
не указан, ваши правила будут оцениваться с использованием механизма v1
.
Услуга
Декларация service
определяет, к какому продукту или услуге Firebase применяются ваши правила. Вы можете включить только одно объявление service
в исходный файл.
Cloud Firestore
service cloud.firestore {
// Your 'match' blocks with their corresponding 'allow' statements and
// optional 'function' declarations are contained here
}
Cloud Storage
service firebase.storage {
// Your 'match' blocks with their corresponding 'allow' statements and
// optional 'function' declarations are contained here
}
Если вы определяете правила как для Cloud Firestore , так и для Cloud Storage с помощью интерфейса командной строки Firebase , вам придется хранить их в отдельных файлах.
Соответствовать
Блок match
объявляет шаблон path
, который сопоставляется с путем для запрошенной операции (входящий request.path
). Тело match
должно содержать один или несколько вложенных блоков match
, операторов allow
или объявлений function
. Путь во вложенных блоках match
указывается относительно пути в родительском блоке match
.
Шаблон path
— это имя, подобное каталогу, которое может включать переменные или подстановочные знаки. Шаблон path
допускает совпадение сегментов с одним и несколькими путями. Любые переменные, связанные с path
видны в области match
или любой вложенной области, где объявлен path
.
Совпадения с шаблоном path
могут быть частичными или полными:
- Частичные совпадения: шаблон
path
представляет собой совпадение префиксаrequest.path
. - Полные совпадения: шаблон
path
соответствует всемуrequest.path
.
При полном совпадении оцениваются правила внутри блока. При частичном совпадении проверяются вложенные правила match
, чтобы определить, завершит ли совпадение какой-либо вложенный path
.
Правила в каждом полном match
оцениваются, чтобы определить, разрешить ли запрос. Если какое-либо соответствующее правило предоставляет доступ, запрос разрешается. Если ни одно соответствующее правило не предоставляет доступ, запрос отклоняется.
// Given request.path == /example/hello/nested/path the following
// declarations indicate whether they are a partial or complete match and
// the value of any variables visible within the scope.
service firebase.storage {
// Partial match.
match /example/{singleSegment} { // `singleSegment` == 'hello'
allow write; // Write rule not evaluated.
// Complete match.
match /nested/path { // `singleSegment` visible in scope.
allow read; // Read rule is evaluated.
}
}
// Complete match.
match /example/{multiSegment=**} { // `multiSegment` == /hello/nested/path
allow read; // Read rule is evaluated.
}
}
Как показано в приведенном выше примере, объявления path
поддерживают следующие переменные:
- Односегментный подстановочный знак: переменная подстановочного знака объявляется в пути путем заключения переменной в фигурные скобки:
{variable}
. Эта переменная доступна в оператореmatch
какstring
. - Рекурсивный подстановочный знак: рекурсивный или многосегментный подстановочный знак соответствует нескольким сегментам пути на пути или под ним. Этот подстановочный знак соответствует всем путям ниже заданного вами местоположения. Вы можете объявить это, добавив строку
=**
в конец переменной сегмента:{variable=**}
. Эта переменная доступна в оператореmatch
как объектpath
.
Позволять
Блок match
содержит один или несколько операторов allow
. Это ваши настоящие правила. Вы можете применить allow
правила к одному или нескольким методам. Условия оператора allow
должны иметь значение true, чтобы Cloud Firestore или Cloud Storage могли удовлетворить любой входящий запрос. Вы также можете писать операторы allow
без условий, например, allow read
. Однако если оператор allow
не включает условие, он всегда разрешает запрос этого метода.
Если какое-либо из allow
правил для метода удовлетворено, запрос разрешается. Кроме того, если более широкое правило предоставляет доступ, Rules предоставляют доступ и игнорируют более детальные правила, которые могут ограничивать доступ.
Рассмотрим следующий пример, где любой пользователь может читать или удалять любые свои файлы. Более детальное правило разрешает запись только в том случае, если пользователь, запрашивающий запись, является владельцем файла и файл имеет формат PNG. Пользователь может удалить любые файлы в подпути — даже если они не являются PNG — поскольку предыдущее правило это разрешает.
service firebase.storage {
// Allow the requestor to read or delete any resource on a path under the
// user directory.
match /users/{userId}/{anyUserFile=**} {
allow read, delete: if request.auth != null && request.auth.uid == userId;
}
// Allow the requestor to create or update their own images.
// When 'request.method' == 'delete' this rule and the one matching
// any path under the user directory would both match and the `delete`
// would be permitted.
match /users/{userId}/images/{imageId} {
// Whether to permit the request depends on the logical OR of all
// matched rules. This means that even if this rule did not explicitly
// allow the 'delete' the earlier rule would have.
allow write: if request.auth != null && request.auth.uid == userId && imageId.matches('*.png');
}
}
Метод
Каждый оператор allow
включает в себя метод, который предоставляет доступ для входящих запросов того же метода.
Метод | Тип запроса |
---|---|
Удобные методы | |
read | Любой тип запроса на чтение |
write | Любой тип запроса на запись |
Стандартные методы | |
get | Запросы на чтение отдельных документов или файлов |
list | Чтение запросов на запросы и коллекции |
create | Запись новых документов или файлов |
update | Запись в существующие документы базы данных или обновление метаданных файлов. |
delete | Удалить данные |
Вы не можете перекрывать методы чтения в одном и том же блоке match
или конфликтующие методы записи в одном объявлении path
.
Например, следующие правила не будут выполнены:
service bad.example {
match /rules/with/overlapping/methods {
// This rule allows reads to all authenticated users
allow read: if request.auth != null;
match another/subpath {
// This secondary, more specific read rule causes an error
allow get: if request.auth != null && request.auth.uid == "me";
// Overlapping write methods in the same path cause an error as well
allow write: if request.auth != null;
allow create: if request.auth != null && request.auth.uid == "me";
}
}
}
Функция
Поскольку ваши правила безопасности становятся более сложными, вы можете захотеть обернуть наборы условий в функции, которые вы сможете повторно использовать в своем наборе правил. Правила безопасности поддерживают пользовательские функции. Синтаксис пользовательских функций немного похож на JavaScript, но функции правил безопасности написаны на предметно-ориентированном языке, который имеет некоторые важные ограничения:
- Функции могут содержать только один оператор
return
. Они не могут содержать никакой дополнительной логики. Например, они не могут выполнять циклы или вызывать внешние службы. - Функции могут автоматически получать доступ к функциям и переменным из области, в которой они определены. Например, функция, определенная в области
service cloud.firestore
, имеет доступ к переменнойresource
и встроенным функциям, таким какget()
иexists()
. - Функции могут вызывать другие функции, но не могут выполняться рекурсивно. Общая глубина стека вызовов ограничена 20.
- В версии правил
v2
функции могут определять переменные с помощью ключевого словаlet
. Функции могут иметь до 10 привязок let, но должны заканчиваться оператором return.
Функция определяется ключевым словом function
и принимает ноль или более аргументов. Например, вы можете объединить два типа условий, использованных в примерах выше, в одну функцию:
service cloud.firestore {
match /databases/{database}/documents {
// True if the user is signed in or the requested data is 'public'
function signedInOrPublic() {
return request.auth.uid != null || resource.data.visibility == 'public';
}
match /cities/{city} {
allow read, write: if signedInOrPublic();
}
match /users/{user} {
allow read, write: if signedInOrPublic();
}
}
}
Вот пример, показывающий аргументы функции и назначения let. Операторы присваивания Let должны быть разделены точкой с запятой.
function isAuthorOrAdmin(userId, article) {
let isAuthor = article.author == userId;
let isAdmin = exists(/databases/$(database)/documents/admins/$(userId));
return isAuthor || isAdmin;
}
Обратите внимание, как назначение isAdmin
обеспечивает поиск коллекции администраторов. Для отложенных вычислений без необходимости ненужных поисков воспользуйтесь преимуществами короткого замыкания &&
(AND) и ||
(OR) сравнения для вызова второй функции только в том случае, если isAuthor
имеет значение true (для сравнений &&
) или false (для сравнений ||
).
function isAdmin(userId) {
return exists(/databases/$(database)/documents/admins/$(userId));
}
function isAuthorOrAdmin(userId, article) {
let isAuthor = article.author == userId;
// `||` is short-circuiting; isAdmin called only if isAuthor == false.
return isAuthor || isAdmin(userId);
}
Использование функций в правилах безопасности делает их более удобными в обслуживании по мере роста сложности правил.
Cloud Storage
Основные элементы правила в Cloud Firestore и Cloud Storage следующие:
- Декларация
service
: объявляет продукт Firebase, к которому применяются правила. - Блок
match
: определяет путь в базе данных или сегменте хранилища, к которому применяются правила. - Оператор
allow
: предоставляет условия предоставления доступа, различающиеся по методам. Поддерживаемые методы включают:get
,list
,create
,update
,delete
, а также удобные методыread
иwrite
. - Необязательные объявления
function
: предоставьте возможность комбинировать и обертывать условия для использования в нескольких правилах.
service
содержит один или несколько блоков match
с операторами allow
, предоставляющими условия предоставления доступа к запросам. Переменные request
и resource
доступны для использования в условиях правила. Язык Firebase Security Rules также поддерживает объявления function
.
Версия синтаксиса
Оператор syntax
указывает версию языка правил Firebase, используемого для написания источника. Последняя версия языка — v2
.
rules_version = '2';
service cloud.firestore {
...
}
Если оператор rules_version
не указан, ваши правила будут оцениваться с использованием механизма v1
.
Услуга
Декларация service
определяет, к какому продукту или услуге Firebase применяются ваши правила. В каждый исходный файл можно включить только одно объявление service
.
Cloud Firestore
service cloud.firestore {
// Your 'match' blocks with their corresponding 'allow' statements and
// optional 'function' declarations are contained here
}
Cloud Storage
service firebase.storage {
// Your 'match' blocks with their corresponding 'allow' statements and
// optional 'function' declarations are contained here
}
Если вы определяете правила как для Cloud Firestore , так и для Cloud Storage с помощью интерфейса командной строки Firebase , вам придется хранить их в отдельных файлах.
Соответствовать
Блок match
объявляет шаблон path
, который сопоставляется с путем для запрошенной операции (входящий request.path
). Тело match
должно содержать один или несколько вложенных блоков match
, операторов allow
или объявлений function
. Путь во вложенных блоках match
указывается относительно пути в родительском блоке match
.
Шаблон path
— это имя, подобное каталогу, которое может включать переменные или подстановочные знаки. Шаблон path
допускает совпадение сегментов с одним и несколькими путями. Любые переменные, связанные с path
видны в области match
или любой вложенной области, где объявлен path
.
Совпадения с шаблоном path
могут быть частичными или полными:
- Частичные совпадения: шаблон
path
представляет собой совпадение префиксаrequest.path
. - Полные совпадения: шаблон
path
соответствует всемуrequest.path
.
При полном совпадении оцениваются правила внутри блока. При частичном совпадении проверяются вложенные правила match
, чтобы определить, завершит ли совпадение какой-либо вложенный path
.
Правила в каждом полном match
оцениваются, чтобы определить, разрешить ли запрос. Если какое-либо соответствующее правило предоставляет доступ, запрос разрешается. Если ни одно соответствующее правило не предоставляет доступ, запрос отклоняется.
// Given request.path == /example/hello/nested/path the following
// declarations indicate whether they are a partial or complete match and
// the value of any variables visible within the scope.
service firebase.storage {
// Partial match.
match /example/{singleSegment} { // `singleSegment` == 'hello'
allow write; // Write rule not evaluated.
// Complete match.
match /nested/path { // `singleSegment` visible in scope.
allow read; // Read rule is evaluated.
}
}
// Complete match.
match /example/{multiSegment=**} { // `multiSegment` == /hello/nested/path
allow read; // Read rule is evaluated.
}
}
Как показано в приведенном выше примере, объявления path
поддерживают следующие переменные:
- Односегментный подстановочный знак: переменная подстановочного знака объявляется в пути путем заключения переменной в фигурные скобки:
{variable}
. Эта переменная доступна в оператореmatch
какstring
. - Рекурсивный подстановочный знак: рекурсивный или многосегментный подстановочный знак соответствует нескольким сегментам пути на пути или под ним. Этот подстановочный знак соответствует всем путям ниже заданного вами местоположения. Вы можете объявить это, добавив строку
=**
в конец переменной сегмента:{variable=**}
. Эта переменная доступна в оператореmatch
как объектpath
.
Позволять
Блок match
содержит один или несколько операторов allow
. Это ваши настоящие правила. Вы можете применить allow
правила к одному или нескольким методам. Условия оператора allow
должны иметь значение true, чтобы Cloud Firestore или Cloud Storage могли удовлетворить любой входящий запрос. Вы также можете писать операторы allow
без условий, например, allow read
. Однако если оператор allow
не включает условие, он всегда разрешает запрос этого метода.
Если какое-либо из allow
правил для метода удовлетворено, запрос разрешается. Кроме того, если более широкое правило предоставляет доступ, Rules предоставляют доступ и игнорируют более детальные правила, которые могут ограничивать доступ.
Рассмотрим следующий пример, где любой пользователь может читать или удалять любые свои файлы. Более детальное правило разрешает запись только в том случае, если пользователь, запрашивающий запись, является владельцем файла и файл имеет формат PNG. Пользователь может удалить любые файлы в подпути — даже если они не являются PNG — поскольку предыдущее правило это разрешает.
service firebase.storage {
// Allow the requestor to read or delete any resource on a path under the
// user directory.
match /users/{userId}/{anyUserFile=**} {
allow read, delete: if request.auth != null && request.auth.uid == userId;
}
// Allow the requestor to create or update their own images.
// When 'request.method' == 'delete' this rule and the one matching
// any path under the user directory would both match and the `delete`
// would be permitted.
match /users/{userId}/images/{imageId} {
// Whether to permit the request depends on the logical OR of all
// matched rules. This means that even if this rule did not explicitly
// allow the 'delete' the earlier rule would have.
allow write: if request.auth != null && request.auth.uid == userId && imageId.matches('*.png');
}
}
Метод
Каждый оператор allow
включает в себя метод, который предоставляет доступ для входящих запросов того же метода.
Метод | Тип запроса |
---|---|
Удобные методы | |
read | Любой тип запроса на чтение |
write | Любой тип запроса на запись |
Стандартные методы | |
get | Запросы на чтение отдельных документов или файлов |
list | Чтение запросов на запросы и коллекции |
create | Запись новых документов или файлов |
update | Запись в существующие документы базы данных или обновление метаданных файлов. |
delete | Удалить данные |
Вы не можете перекрывать методы чтения в одном и том же блоке match
или конфликтующие методы записи в одном объявлении path
.
Например, следующие правила не будут выполнены:
service bad.example {
match /rules/with/overlapping/methods {
// This rule allows reads to all authenticated users
allow read: if request.auth != null;
match another/subpath {
// This secondary, more specific read rule causes an error
allow get: if request.auth != null && request.auth.uid == "me";
// Overlapping write methods in the same path cause an error as well
allow write: if request.auth != null;
allow create: if request.auth != null && request.auth.uid == "me";
}
}
}
Функция
Поскольку ваши правила безопасности становятся более сложными, вы можете захотеть обернуть наборы условий в функции, которые вы сможете повторно использовать в своем наборе правил. Правила безопасности поддерживают пользовательские функции. Синтаксис пользовательских функций немного похож на JavaScript, но функции правил безопасности написаны на предметно-ориентированном языке, который имеет некоторые важные ограничения:
- Функции могут содержать только один оператор
return
. Они не могут содержать никакой дополнительной логики. Например, они не могут выполнять циклы или вызывать внешние службы. - Функции могут автоматически получать доступ к функциям и переменным из области, в которой они определены. Например, функция, определенная в области видимости
service cloud.firestore
, имеет доступ к переменнойresource
и встроенным функциям, таким какget()
иexists()
. - Функции могут вызывать другие функции, но не могут выполняться рекурсивно. Общая глубина стека вызовов ограничена 20.
- В правилах версии
v2
функции могут определять переменные с помощью ключевого словаlet
. Функции могут иметь до 10 привязок let, но должны заканчиваться оператором return.
Функция определяется ключевым словом function
и принимает ноль или более аргументов. Например, вы можете объединить два типа условий, использованных в примерах выше, в одну функцию:
service cloud.firestore {
match /databases/{database}/documents {
// True if the user is signed in or the requested data is 'public'
function signedInOrPublic() {
return request.auth.uid != null || resource.data.visibility == 'public';
}
match /cities/{city} {
allow read, write: if signedInOrPublic();
}
match /users/{user} {
allow read, write: if signedInOrPublic();
}
}
}
Вот пример, показывающий аргументы функции и назначения let. Операторы присваивания Let должны быть разделены точкой с запятой.
function isAuthorOrAdmin(userId, article) {
let isAuthor = article.author == userId;
let isAdmin = exists(/databases/$(database)/documents/admins/$(userId));
return isAuthor || isAdmin;
}
Обратите внимание, как назначение isAdmin
обеспечивает поиск коллекции администраторов. Для отложенных вычислений без необходимости ненужных поисков воспользуйтесь преимуществами короткого замыкания &&
(AND) и ||
(ИЛИ) сравнения для вызова второй функции только в том случае, если значение isAuthor
равно true (для сравнений &&
) или false (для сравнений ||
).
function isAdmin(userId) {
return exists(/databases/$(database)/documents/admins/$(userId));
}
function isAuthorOrAdmin(userId, article) {
let isAuthor = article.author == userId;
// `||` is short-circuiting; isAdmin called only if isAuthor == false.
return isAuthor || isAdmin(userId);
}
Использование функций в правилах безопасности делает их более удобными в обслуживании по мере роста сложности правил.
Realtime Database
Как указано выше, Rules Realtime Database включают три основных элемента: расположение базы данных как зеркало структуры JSON базы данных, тип запроса и условие предоставления доступа.
Расположение базы данных
Структура ваших правил должна соответствовать структуре данных, которые вы храните в своей базе данных. Например, в приложении чата со списком сообщений у вас могут быть такие данные:
{
"messages": {
"message0": {
"content": "Hello",
"timestamp": 1405704370369
},
"message1": {
"content": "Goodbye",
"timestamp": 1405704395231
},
...
}
}
Ваши правила должны отражать эту структуру. Например:
{
"rules": {
"messages": {
"$message": {
// only messages from the last ten minutes can be read
".read": "data.child('timestamp').val() > (now - 600000)",
// new messages must have a string content and a number timestamp
".validate": "newData.hasChildren(['content', 'timestamp']) &&
newData.child('content').isString() &&
newData.child('timestamp').isNumber()"
}
}
}
}
Как показано в приведенном выше примере, Rules Realtime Database поддерживают переменную $location
для сопоставления сегментов пути. Используйте префикс $
перед сегментом пути, чтобы сопоставить правило с любыми дочерними узлами на пути.
{
"rules": {
"rooms": {
// This rule applies to any child of /rooms/, the key for each room id
// is stored inside $room_id variable for reference
"$room_id": {
"topic": {
// The room's topic can be changed if the room id has "public" in it
".write": "$room_id.contains('public')"
}
}
}
}
}
Вы также можете использовать $variable
параллельно с именами констант.
{
"rules": {
"widget": {
// a widget can have a title or color attribute
"title": { ".validate": true },
"color": { ".validate": true },
// but no other child paths are allowed
// in this case, $other means any key excluding "title" and "color"
"$other": { ".validate": false }
}
}
}
Метод
В Realtime Database существует три типа правил. Два из этих типов правил — read
и write
— применяются к методу входящего запроса. Тип правила validate
обеспечивает соблюдение структур данных и проверяет формат и содержимое данных. Rules запускают правила .validate
после проверки того, что правило .write
предоставляет доступ.
Типы правил | |
---|---|
.читать | Описывает, разрешено ли пользователям читать данные и когда это возможно. |
.писать | Описывает, разрешена ли запись данных и когда это возможно. |
.валидатировать | Определяет, как будет выглядеть правильно отформатированное значение, есть ли у него дочерние атрибуты и тип данных. |
По умолчанию, если правило не разрешает это, доступ по пути запрещен.
Условия строительства
Cloud Firestore
Условие — это логическое выражение, которое определяет, следует ли разрешить или запретить конкретную операцию. Переменные request
и resource
предоставляют контекст для этих условий.
Переменная request
Переменная request
включает в себя следующие поля и соответствующую информацию:
request.auth
Веб-токен JSON (JWT), содержащий учетные данные аутентификации из Firebase Authentication . Токен auth
содержит набор стандартных утверждений и любых пользовательских утверждений, которые вы создаете с помощью Firebase Authentication . Узнайте больше о правилах безопасности и Authentication Firebase Security Rules .
request.method
request.method
может быть любым стандартным методом или пользовательским методом. Удобные методы read
и write
также существуют для упрощения правил записи, которые применяются ко всем стандартным методам только для чтения или ко всем стандартным методам только для записи соответственно.
request.params
request.params
включает в себя любые данные, не связанные конкретно с request.resource
, которые могут быть полезны для оценки. На практике эта карта должна быть пустой для всех стандартных методов и должна содержать нересурсные данные для пользовательских методов. Службы должны быть осторожны, чтобы не переименовывать и не изменять тип каких-либо ключей и значений, представленных в качестве параметров.
request.path
request.path
— это путь к целевому resource
. Путь указывается относительно службы. Сегменты пути, содержащие небезопасные для URL-адреса символы, такие как /
закодированы в URL-адресе.
resource
переменная
resource
— это текущее значение в сервисе, представленное в виде карты пар ключ-значение. Ссылка на resource
в условии приведет к чтению не более одного значения из службы. Этот поиск будет учитываться в любой квоте, связанной со службой, для ресурса. Для запросов get
resource
будет учитываться только в квоте при отклонении.
Операторы и приоритет операторов
Используйте таблицу ниже в качестве справки для операторов и их соответствующего приоритета в Rules для Cloud Firestore и Cloud Storage .
Даны произвольные выражения a
и b
, поле f
и индекс i
.
Оператор | Описание | Ассоциативность |
---|---|---|
a[i] a() af | Индекс, вызов, доступ к полям | слева направо | !a -a | Унарное отрицание | справа налево |
a/ba%ba*b | Мультипликативные операторы | слева направо |
a+b ab | Аддитивные операторы | слева направо |
a>ba>=ba | Реляционные операторы | слева направо |
a in b | Наличие в списке или на карте | слева направо |
a is type | Сравнение типов, где type может быть bool, int, float, число, строка, список, карта, временная метка, продолжительность, путь или широта. | слева направо |
a==ba!=b | Операторы сравнения | слева направо | a && b | Условное И | слева направо |
a || b | Условное ИЛИ | слева направо |
a ? true_value : false_value | Тернарное выражение | слева направо |
Cloud Storage
Условие — это логическое выражение, которое определяет, следует ли разрешить или запретить конкретную операцию. Переменные request
и resource
предоставляют контекст для этих условий.
Переменная request
Переменная request
включает в себя следующие поля и соответствующую информацию:
request.auth
Веб-токен JSON (JWT), содержащий учетные данные аутентификации из Firebase Authentication . Токен auth
содержит набор стандартных утверждений и любых пользовательских утверждений, которые вы создаете с помощью Firebase Authentication . Узнайте больше о правилах безопасности и Authentication Firebase Security Rules .
request.method
request.method
может быть любым стандартным методом или пользовательским методом. Удобные методы read
и write
также существуют для упрощения правил записи, которые применяются ко всем стандартным методам только для чтения или ко всем стандартным методам только для записи соответственно.
request.params
request.params
включает в себя любые данные, не связанные конкретно с request.resource
, которые могут быть полезны для оценки. На практике эта карта должна быть пустой для всех стандартных методов и должна содержать нересурсные данные для пользовательских методов. Службы должны быть осторожны, чтобы не переименовывать и не изменять тип каких-либо ключей и значений, представленных в качестве параметров.
request.path
request.path
— это путь к целевому resource
. Путь указывается относительно сервиса. Сегменты пути, содержащие небезопасные для URL-адреса символы, такие как /
закодированы в URL-адресе.
resource
переменная
resource
— это текущее значение в сервисе, представленное в виде карты пар ключ-значение. Ссылка на resource
в условии приведет не более к одному чтению значения из службы. Этот поиск будет учитываться в любой квоте, связанной со службой, для ресурса. Для запросов get
resource
будет учитываться только в квоте при отклонении.
Операторы и приоритет операторов
Используйте таблицу ниже в качестве справки для операторов и их соответствующего приоритета в Rules для Cloud Firestore и Cloud Storage .
Даны произвольные выражения a
и b
, поле f
и индекс i
.
Оператор | Описание | Ассоциативность |
---|---|---|
a[i] a() af | Индекс, вызов, доступ к полям | слева направо | !a -a | Унарное отрицание | справа налево |
a/ba%ba*b | Мультипликативные операторы | слева направо |
a+b ab | Аддитивные операторы | слева направо |
a>ba>=ba | Реляционные операторы | слева направо |
a in b | Наличие в списке или на карте | слева направо |
a is type | Сравнение типов, где type может быть bool, int, float, число, строка, список, карта, временная метка, продолжительность, путь или широта. | слева направо |
a==ba!=b | Операторы сравнения | слева направо | a && b | Условное И | слева направо |
a || b | Условное ИЛИ | слева направо |
a ? true_value : false_value | Тернарное выражение | слева направо |
Realtime Database
Условие — это логическое выражение, которое определяет, следует ли разрешить или запретить конкретную операцию. Вы можете определить эти условия в Rules Realtime Database следующими способами.
Предопределенные переменные
Существует ряд полезных предопределенных переменных, к которым можно получить доступ внутри определения правила. Вот краткое описание каждого из них:
Предопределенные переменные | |
---|---|
сейчас | Текущее время в миллисекундах с эпохи Linux. Это особенно хорошо работает для проверки временных меток, созданных с помощью Firebase.database.ServerValue.TIMESTAMP SDK. |
корень | RuleDataSnapshot, представляющий корневой путь в базе данных Firebase, существовавший до попытки операции. |
новые данные | RuleDataSnapshot, представляющий данные в том виде, в котором они будут существовать после предпринятой операции. Он включает в себя новые записываемые данные и существующие данные. |
данные | RuleDataSnapshot, представляющий данные в том виде, в каком они существовали до предпринятой операции. |
$переменные | Путь с подстановочными знаками, используемый для представления идентификаторов и динамических дочерних ключей. |
авторизация | Представляет полезную нагрузку токена прошедшего проверку подлинности пользователя. |
Эти переменные можно использовать где угодно в ваших правилах. Например, приведенные ниже правила безопасности гарантируют, что данные, записываемые в узел /foo/
должны представлять собой строку длиной менее 100 символов:
{ "rules": { "foo": { // /foo is readable by the world ".read": true, // /foo is writable by the world ".write": true, // data written to /foo must be a string less than 100 characters ".validate": "newData.isString() && newData.val().length < 100" } } }
Правила на основе данных
Любые данные в вашей базе данных могут использоваться в ваших правилах. Используя предопределенные переменные root
, data
и newData
, вы можете получить доступ к любому пути, который существовал бы до или после события записи.
Рассмотрим этот пример, который разрешает операции записи, пока значение узла /allow_writes/
равно true
, у родительского узла не установлен флаг readOnly
и во вновь записанных данных есть дочерний узел с именем foo
:
".write": "root.child('allow_writes').val() === true && !data.parent().child('readOnly').exists() && newData.child('foo').exists()"
Правила на основе запросов
Хотя вы не можете использовать правила в качестве фильтров, вы можете ограничить доступ к подмножествам данных, используя параметры запроса в своих правилах. Используйте query.
выражения в ваших правилах для предоставления доступа на чтение или запись на основе параметров запроса.
Например, следующее правило на основе запроса использует правила безопасности на основе пользователя и правила на основе запроса, чтобы ограничить доступ к данным в коллекции baskets
только теми корзинами покупок, которыми владеет активный пользователь:
"baskets": {
".read": "auth.uid !== null &&
query.orderByChild === 'owner' &&
query.equalTo === auth.uid" // restrict basket access to owner of basket
}
Следующий запрос, включающий параметры запроса в правило, будет успешным:
db.ref("baskets").orderByChild("owner")
.equalTo(auth.currentUser.uid)
.on("value", cb) // Would succeed
Однако запросы, которые не включают параметры в правило, завершатся ошибкой PermissionDenied
:
db.ref("baskets").on("value", cb) // Would fail with PermissionDenied
Вы также можете использовать правила на основе запросов, чтобы ограничить объем данных, загружаемых клиентом посредством операций чтения.
Например, следующее правило ограничивает доступ для чтения только к первым 1000 результатам запроса, упорядоченным по приоритету:
messages: {
".read": "query.orderByKey &&
query.limitToFirst <= 1000"
}
// Example queries:
db.ref("messages").on("value", cb) // Would fail with PermissionDenied
db.ref("messages").limitToFirst(1000)
.on("value", cb) // Would succeed (default order by key)
Следующий query.
выражения доступны в Realtime Database Security Rules .
Выражения правил на основе запросов | ||
---|---|---|
Выражение | Тип | Описание |
query.orderByKey query.orderByPriority query.orderByValue | логическое значение | Верно для запросов, упорядоченных по ключу, приоритету или значению. В противном случае неверно. |
query.orderByChild | нить нулевой | Используйте строку для представления относительного пути к дочернему узлу. Например, query.orderByChild === "address/zip" . Если запрос не упорядочен дочерним узлом, это значение равно нулю. |
запрос.startAt запрос.endAt запрос.equalTo | нить число логическое значение нулевой | Извлекает границы выполняющегося запроса или возвращает значение NULL, если набор границ отсутствует. |
query.limitToFirst query.limitToLast | число нулевой | Получает ограничение на выполнение запроса или возвращает значение NULL, если ограничение не установлено. |
Операторы
Rules Realtime Database поддерживают ряд операторов , которые можно использовать для объединения переменных в операторе условия. Полный список операторов смотрите в справочной документации .
Создание условий
Ваши фактические условия будут различаться в зависимости от доступа, который вы хотите предоставить. Rules намеренно предлагают огромную степень гибкости, поэтому правила вашего приложения в конечном итоге могут быть настолько простыми или сложными, насколько вам нужно.
Некоторые рекомендации по созданию простых, готовых к использованию Rules см. в разделе «Основные правила безопасности» .